CVE-2025-30444

Race condition w obsłudze SMB w macOS — możliwe zakończenie systemu

CVSS 9.8v3.1pub. 2025-03-31upd. 2026-04-02

Podatność typu race condition w systemie macOS pozwala na doprowadzenie do nieoczekiwanego zakończenia pracy systemu poprzez podłączenie złośliwie spreparowanego udziału sieciowego SMB. Pomimo sklasyfikowania jako CRITICAL, problem dotyczy dostępności systemu.

▸ Pokaż oryginał (EN)

A race condition was addressed with improved locking. This issue is fixed in macOS Sequoia 15.4, macOS Sonoma 14.7.5, macOS Ventura 13.7.5. Mounting a maliciously crafted SMB network share may lead to system termination.

🤖 Analiza AI

Jak działa

Błąd wynika z nieprawidłowej synchronizacji dostępu do zasobów współdzielonych (race condition, CWE-362) podczas montowania udziału sieciowego SMB. Atakujący może przygotować złośliwy serwer SMB i nakłonić użytkownika do podłączenia odpowiednio spreparowanego udziału sieciowego. W momencie montowania dochodzi do wyścigu między wątkami lub procesami, co prowadzi do niestabilności systemu i jego nagłego zakończenia (crash). Apple rozwiązało problem poprzez wdrożenie poprawionego mechanizmu blokowania (improved locking).

Skutki

Atakujący może doprowadzić do nagłego zakończenia działania systemu operacyjnego (system termination), co skutkuje utratą dostępności maszyny. Na podstawie wektora CVSS oceniono również potencjalny wpływ na poufność i integralność danych.

Mitygacja

Należy zaktualizować system do wersji macOS Sequoia 15.4, macOS Sonoma 14.7.5 lub macOS Ventura 13.7.5, w których Apple wdrożyło poprawkę. Szczegóły dostępne pod adresami: https://support.apple.com/en-us/122373, https://support.apple.com/en-us/122374, https://support.apple.com/en-us/122375.

Kogo dotyczy

Apple macOS Sequoia w wersjach wcześniejszych niż 15.4, macOS Sonoma w wersjach wcześniejszych niż 14.7.5 oraz macOS Ventura w wersjach wcześniejszych niż 13.7.5.

Uwagi

Podatność została upubliczniona 31 marca 2025 roku. Pomimo wysokiego wyniku CVSS 9.8, opis wskazuje jedynie na skutek w postaci zakończenia systemu (brak potwierdzenia RCE). Informacje o podatności zostały opublikowane również na liście Full Disclosure w kwietniu 2025 roku.